Martillo de hilera - Row hammer

Row hammer (también escrito como rowhammer ) es un exploit de seguridad que se aprovecha de un efecto secundario no deseado e indeseable en la memoria dinámica de acceso aleatorio (DRAM) en la que las celdas de memoria interactúan eléctricamente entre sí filtrando sus cargas, posiblemente cambiando el contenido de los dispositivos cercanos. filas de memoria que no se abordaron en el acceso a la memoria original. Esta elusión del aislamiento entre las celdas de memoria DRAM es el resultado de la alta densidad de celdas en la DRAM moderna y puede desencadenarse mediante patrones de acceso a la memoria especialmente diseñados que activan rápidamente las mismas filas de memoria en numerosas ocasiones.

El efecto de martillo de fila se ha utilizado en algunas vulnerabilidades de seguridad informática de escalada de privilegios , y los ataques basados ​​en la red también son teóricamente posibles.

Existen diferentes técnicas basadas en hardware para evitar que se produzca el efecto de martillo de fila, incluido el soporte necesario en algunos procesadores y tipos de módulos de memoria DRAM .

Fondo

Una ilustración de alto nivel de la organización DRAM, que incluye celdas de memoria (cuadrados azules), decodificadores de direcciones (rectángulos verdes) y amplificadores de detección (cuadrados rojos)

En la RAM dinámica (DRAM), cada bit de datos almacenados ocupa una celda de memoria separada que se implementa eléctricamente con un capacitor y un transistor . El estado de carga de un condensador (cargado o descargado) es lo que determina si una celda DRAM almacena "1" o "0" como valor binario . Un gran número de celdas de memoria DRAM están empaquetadas en circuitos integrados , junto con alguna lógica adicional que organiza las celdas con el propósito de leer, escribir y actualizar los datos.

Las celdas de memoria (cuadrados azules en ambas ilustraciones) se organizan además en matrices y se direccionan a través de filas y columnas. Una dirección de memoria aplicada a una matriz se divide en la dirección de fila y la dirección de columna, que son procesadas por los decodificadores de dirección de fila y columna (en ambas ilustraciones, rectángulos verdes verticales y horizontales, respectivamente). Después de que una dirección de fila selecciona la fila para una operación de lectura (la selección también se conoce como activación de fila ), los bits de todas las celdas de la fila se transfieren a los amplificadores de detección que forman el búfer de fila (cuadrados rojos en ambas ilustraciones), a partir de los cuales el bit exacto se selecciona utilizando la dirección de columna. En consecuencia, las operaciones de lectura son de naturaleza destructiva porque el diseño de DRAM requiere que las celdas de memoria se reescriban después de que se hayan leído sus valores transfiriendo las cargas de las celdas al búfer de filas. Las operaciones de escritura decodifican las direcciones de manera similar, pero como resultado del diseño, se deben reescribir filas enteras para cambiar el valor de un solo bit.

Como resultado del almacenamiento de bits de datos utilizando capacitores que tienen una tasa de descarga natural, las celdas de memoria DRAM pierden su estado con el tiempo y requieren la reescritura periódica de todas las celdas de memoria, lo cual es un proceso conocido como actualización. Como otro resultado del diseño, DRAM la memoria es susceptible a cambios aleatorios en los datos almacenados, que se conocen como errores de memoria blanda y se atribuyen a los rayos cósmicos y otras causas. Existen diferentes técnicas que contrarrestan los errores de memoria blanda y mejoran la confiabilidad de la DRAM, de las cuales la memoria de código de corrección de errores (ECC) y sus variantes avanzadas (como la memoria bloqueada ) son las más utilizadas.

Visión general

Las activaciones rápidas de filas (filas amarillas) pueden cambiar los valores de los bits almacenados en la fila víctima (fila púrpura).

El aumento de la densidad de los circuitos integrados DRAM ha llevado a celdas de memoria físicamente más pequeñas que contienen menos carga , lo que resulta en márgenes de ruido operacional más bajos , mayores tasas de interacciones electromagnéticas entre celdas de memoria y una mayor posibilidad de pérdida de datos. Como resultado, se han observado errores de perturbación , causados ​​por celdas que interfieren con el funcionamiento de las demás y que se manifiestan como cambios aleatorios en los valores de los bits almacenados en las celdas de memoria afectadas. La conciencia de los errores de perturbación se remonta a principios de la década de 1970 y a Intel 1103 como los primeros circuitos integrados DRAM disponibles comercialmente; Desde entonces, los fabricantes de DRAM han empleado varias técnicas de mitigación para contrarrestar los errores de perturbación, como mejorar el aislamiento entre celdas y realizar pruebas de producción. Sin embargo, los investigadores demostraron en un análisis de 2014 que los chips DDR3 SDRAM comercialmente disponibles fabricados en 2012 y 2013 son susceptibles a errores de perturbación, mientras que utilizan el término martillo de fila para nombrar el efecto secundario asociado que llevó a los volteos de bits observados .

La oportunidad de que ocurra el efecto de martillo de fila en la memoria DDR3 se atribuye principalmente a la alta densidad de celdas de memoria de DDR3 y los resultados de las interacciones asociadas entre las celdas, mientras que las activaciones rápidas de fila de DRAM se han determinado como la causa principal. Las activaciones frecuentes de filas provocan fluctuaciones de voltaje en las líneas de selección de filas asociadas, que se ha observado que inducen tasas de descarga superiores a las naturales en los condensadores que pertenecen a filas de memoria cercanas (adyacentes, en la mayoría de los casos), que se denominan filas víctimas ; si las celdas de memoria afectadas no se actualizan antes de que pierdan demasiada carga, se producen errores de perturbación. Las pruebas muestran que se puede observar un error de perturbación después de realizar alrededor de 139,000 accesos subsiguientes a filas de memoria (con vaciados de caché ), y que hasta una celda de memoria de cada 1,700 celdas puede ser susceptible. Esas pruebas también muestran que la tasa de errores de perturbación no se ve afectada sustancialmente por el aumento de la temperatura ambiental, mientras que depende del contenido real de DRAM porque ciertos patrones de bits dan como resultado tasas de error de perturbación significativamente más altas.

Una variante llamada martilleo de doble cara implica activaciones específicas de dos filas de DRAM que rodean una fila de víctimas: en la ilustración proporcionada en esta sección, esta variante activaría ambas filas amarillas con el objetivo de inducir volteos de bits en la fila púrpura, que en este caso caso sería la fila de la víctima. Las pruebas muestran que este enfoque puede resultar en una tasa significativamente mayor de errores de perturbación, en comparación con la variante que activa solo una de las filas DRAM vecinas de la fila víctima.

Mitigación

Existen diferentes métodos para una detección, prevención, corrección o mitigación más o menos exitosa del efecto de martillo de hileras. Las pruebas muestran que el código de corrección de errores simple , que proporciona capacidades de corrección de error simple y detección de error doble (SECDED), no puede corregir o detectar todos los errores de perturbación observados porque algunos de ellos incluyen más de dos bits invertidos por palabra de memoria . Además, la investigación muestra que los giros de martillo de tres bits dirigidos con precisión evitan que la memoria ECC note las modificaciones.

Una solución menos eficaz es introducir una actualización de la memoria más frecuente, con intervalos de actualización más cortos que los habituales 64 ms, pero esta técnica da como resultado un mayor consumo de energía y una mayor sobrecarga de procesamiento; algunos proveedores proporcionan actualizaciones de firmware que implementan este tipo de mitigación. Una de las medidas de prevención más complejas lleva a cabo una identificación contraria de las filas de memoria a las que se accede con frecuencia y actualiza de forma proactiva las filas vecinas; otro método emite actualizaciones aleatorias adicionales y poco frecuentes de las filas de memoria vecinas a las filas a las que se accede, independientemente de su frecuencia de acceso. La investigación muestra que estas dos medidas de prevención causan impactos insignificantes en el rendimiento.

Desde el lanzamiento de la microarquitectura Ivy Bridge , los procesadores Intel Xeon admiten la llamada actualización de fila de pseudodirecto (pTRR) que se puede usar en combinación con módulos de memoria dual en línea (DIMM) DDR3 compatibles con pTRR para mitigar el efecto de martillo de fila al actualizando automáticamente las posibles filas de víctimas, sin impacto negativo en el rendimiento o el consumo de energía. Cuando se utilizan con DIMM que no son compatibles con pTRR, estos procesadores Xeon de forma predeterminada recurren a la actualización de DRAM al doble de la frecuencia habitual, lo que da como resultado una latencia de acceso a la memoria ligeramente mayor y puede reducir el ancho de banda de la memoria hasta en un 2–4%.

El estándar de memoria móvil LPDDR4 publicado por JEDEC incluye soporte de hardware opcional para la llamada actualización de fila de destino (TRR) que evita el efecto de martillo de fila sin afectar negativamente el rendimiento o el consumo de energía. Además, algunos fabricantes implementan TRR en sus productos DDR4 , aunque no forma parte del estándar de memoria DDR4 publicado por JEDEC. Internamente, TRR identifica posibles filas de víctimas, contando el número de activaciones de filas y comparándolas con los valores de conteo máximo de activación (MAC) y ventana de activación máxima (t MAW ) específicos del chip predefinidos , y actualiza estas filas para evitar cambios de bits. El valor MAC es el número total máximo de activaciones de filas que se pueden encontrar en una fila DRAM particular dentro de un intervalo de tiempo que es igual o más corto que la cantidad de tiempo t MAW antes de que sus filas vecinas se identifiquen como filas víctimas; TRR también puede marcar una fila como fila víctima si la suma de activaciones de fila para sus dos filas vecinas alcanza el límite de MAC dentro de la ventana de tiempo t MAW .

Debido a la necesidad de un gran número de activaciones de fila DRAM realizadas rápidamente, los exploits de martillo de fila emiten un gran número de accesos a memoria no almacenados en caché que provocan fallos de caché , que se pueden detectar mediante el seguimiento de la tasa de fallos de caché en busca de picos inusuales utilizando contadores de rendimiento de hardware .

La versión 5.0 del software de diagnóstico de memoria MemTest86 , lanzado el 3 de diciembre de 2013, agregó una prueba de martillo de fila que verifica si la RAM de la computadora es susceptible a errores de perturbación, pero solo funciona si la computadora arranca UEFI ; sin UEFI, arranca una versión anterior sin prueba de martillo.

Trascendencia

La protección de la memoria , como forma de evitar que los procesos accedan a la memoria que no ha sido asignada a cada uno de ellos, es uno de los conceptos detrás de la mayoría de los sistemas operativos modernos . Al utilizar la protección de la memoria en combinación con otros mecanismos relacionados con la seguridad, como los anillos de protección , es posible lograr una separación de privilegios entre procesos, en los que los programas y los sistemas informáticos en general se dividen en partes limitadas a los privilegios específicos que requieren para realizar un proceso en particular. tarea. El uso de la separación de privilegios también puede reducir el alcance del daño potencial causado por los ataques a la seguridad informática al restringir sus efectos a partes específicas del sistema.

Los errores de perturbación (explicados en la sección anterior ) derrotan eficazmente varias capas de protección de memoria al " cortocircuitarlas " a un nivel de hardware muy bajo, creando prácticamente un tipo de vector de ataque único que permite que los procesos alteren el contenido de partes arbitrarias de la memoria principal manipulando directamente el hardware de memoria subyacente. En comparación, los vectores de ataque "convencionales", como los desbordamientos de búfer, tienen como objetivo eludir los mecanismos de protección a nivel de software, explotando varios errores de programación para lograr alteraciones de los contenidos de la memoria principal que de otro modo serían inaccesibles.

Exploits

code1a:
  mov (X), %eax  // read from address X
  mov (Y), %ebx  // read from address Y
  clflush (X)    // flush cache for address X
  clflush (Y)    // flush cache for address Y
  mfence
  jmp code1a
Un fragmento de código ensamblador x86 que induce el efecto de martillo de fila (direcciones de memoria Xy Ydeben asignarse a diferentes filas de DRAM en el mismo banco de memoria )

La investigación inicial sobre el efecto de martillo de fila, publicada en junio de 2014, describió la naturaleza de los errores de perturbación e indicó la posibilidad de construir un ataque, pero no proporcionó ningún ejemplo de un exploit de seguridad en funcionamiento. Un artículo de investigación posterior de octubre de 2014 no insinuó la existencia de ningún problema relacionado con la seguridad que surja del efecto de martillo de fila.

El 9 de marzo de 2015, el Proyecto Zero de Google reveló dos exploits de escalada de privilegios de trabajo basados ​​en el efecto de martillo de fila, estableciendo su naturaleza explotable en la arquitectura x86-64 . Uno de los exploits revelados apunta al mecanismo de Google Native Client (NaCl) para ejecutar un subconjunto limitado de instrucciones de máquina x86-64 dentro de una caja de arena , explotando el efecto de martillo de fila para escapar de la caja de arena y obtener la capacidad de emitir llamadas al sistema directamente. Esta vulnerabilidad de NaCl , rastreada como CVE - 2015-0565 , se ha mitigado modificando el NaCl para que no permita la ejecución de la instrucción de máquina ( vaciado de línea de caché ), que anteriormente se creía necesaria para construir un ataque de martillo de fila efectivo. clflush

El segundo exploit revelado por Project Zero se ejecuta como un proceso de Linux sin privilegios en la arquitectura x86-64, explotando el efecto de martillo de filas para obtener acceso sin restricciones a toda la memoria física instalada en una computadora. Mediante la combinación de los errores de perturbación con pulverización de memoria , esta hazaña es capaz de alterar página entradas de la tabla usados por la memoria virtual sistema para el mapeo de direcciones virtuales a direcciones físicas , lo que resulta en el explotar el acceso de memoria no restringida. Debido a su naturaleza y la incapacidad de la arquitectura x86-64 para realizar clflushuna instrucción de máquina privilegiada, esta vulnerabilidad difícilmente puede mitigarse en computadoras que no usan hardware con mecanismos de prevención de martillo de fila incorporados. Al probar la viabilidad de los exploits, Project Zero descubrió que aproximadamente la mitad de las 29 computadoras portátiles probadas experimentaron errores de perturbación, y algunos de ellos ocurrieron en computadoras portátiles vulnerables en menos de cinco minutos de ejecución de código inductor de martillo de fila; Las computadoras portátiles probadas se fabricaron entre 2010 y 2014 y utilizaron memoria DDR3 no ECC.

En julio de 2015, un grupo de investigadores de seguridad publicó un artículo que describe una arquitectura , y una forma independiente del conjunto de instrucciones, para explotar el efecto de martillo de fila. En lugar de depender de la clflushinstrucción para realizar vaciados de caché, este enfoque logra accesos a memoria no almacenados en caché al provocar una tasa muy alta de desalojo de caché utilizando patrones de acceso a memoria cuidadosamente seleccionados. Aunque las políticas de reemplazo de caché difieren entre los procesadores, este enfoque supera las diferencias arquitectónicas mediante el empleo de un algoritmo de estrategia de desalojo de caché adaptativo . La prueba de concepto para este enfoque se proporciona como una implementación de código nativo y como una implementación de JavaScript pura que se ejecuta en Firefox  aplicación 39. La JavaScript, llamado Rowhammer.js , utiliza grandes mecanografiadas matrices y se basa en su interior asignación utilizando páginas grandes ; como resultado, demuestra una explotación de muy alto nivel de una vulnerabilidad de muy bajo nivel.

En octubre de 2016, los investigadores publicaron DRAMMER, una aplicación de Android que usa el martillo de fila, junto con otros métodos, para obtener acceso de root de manera confiable en varios teléfonos inteligentes populares. La vulnerabilidad fue reconocida como CVE - 2016-6728 y Google publicó una mitigación en un mes. Sin embargo, debido a la naturaleza general de las posibles implementaciones del ataque, es difícil implementar de manera confiable un parche de software efectivo. En junio de 2018, la mayoría de las propuestas de parches realizadas por la academia y la industria eran poco prácticas de implementar o insuficientes para detener todos los ataques. Como mitigación, los investigadores propusieron una defensa ligera que previene los ataques basados ​​en el acceso directo a la memoria (DMA) al aislar los búferes DMA con filas de protección.

Ver también

  • Codificación de  memoria: función del controlador de memoria que convierte los datos del usuario escritos en la memoria en patrones pseudoaleatorios
  • Endurecimiento por radiación  : el acto de hacer que los componentes electrónicos sean resistentes al daño o al mal funcionamiento causado por la radiación ionizante.
  • Alteración de  un solo evento : un cambio de estado causado por iones o radiación electromagnética que golpean un nodo sensible en un dispositivo electrónico
  • Error suave  : un tipo de error que implica cambios erróneos en señales o datos, pero sin cambios en el dispositivo o circuito subyacente.

Notas

Referencias

enlaces externos